强大的Windows Server 2008防火墙

核心提示：与以前Windows版本中的防火墙相比，Windows Server 2008中的高级安全防火墙(WFAS)有了较大的改进，强大的Windows Server 2008防火墙，首先它支持双向保护，可以对出站、入站通信进行过滤，使用netsh advfirewall可以创建脚本，以便自动同时为IPv4和IPv6流量配置一

与以前Windows版本中的防火墙相比，Windows Server 2008中的高级安全防火墙(WFAS)有了较大的改进，首先它支持双向保护，可以对出站、入站通信进行过滤。

其次它将Windows防火墙功能和Internet 协议安全(IPSec)集成到一个控制台中。使用这些高级选项可以按照环境所需的方式配置密钥交换、数据保护(完整性和加密)以及身份验证设置。而且WFAS还可以实现更高级的规则配置，你可以针对Windows Server上的各种对象创建防火墙规则，配置防火墙规则以确定阻止还是允许流量通过具有高级安全性的Windows防火墙。

传入数据包到达计算机时，具有高级安全性的Windows防火墙检查该数据包，并确定它是否符合防火墙规则中指定的标准。如果数据包与规则中的标准匹配，则具有高级安全性的Windows防火墙执行规则中指定的操作，即阻止连接或允许连接。如果数据包与规则中的标准不匹配，则具有高级安全性的Windows防火墙丢弃该数据包，并在防火墙日志文件中创建条目(如果启用了日志记录)。

对规则进行配置时，可以从各种标准中进行选择：例如应用程序名称、系统服务名称、TCP端口、UDP端口、本地IP地址、远程IP地址、配置文件、接口类型(如网络适配器)、用户、用户组、计算机、计算机组、协议、ICMP类型等。规则中的标准添加在一起;添加的标准越多，具有高级安全性的Windows防火墙匹配传入流量就越精细。

下面我们一起来了解一下如何来配置Window Server 2008的防火墙。

利用MMC单元进行管理

这种方式可以让你在一个界面中同时配置防火墙设置和IPSec设置，还可以在监视节点中查看当前应用的策略、规则和其它信息。

从启动菜单的管理工具中找到高级安全Windows防火墙，点击打开MMC管理单元。Windows 2008的高级安全Windows防火墙使用出站和入站两组规则来配置其如何响应传入和传出的流量;通过连接安全规则来确定如何保护计算机和其它计算机之间的流量，而且可以监视防火墙活动和规则。

下面我们来通过实际例子查看一下如何配置这几个规则。

首先从入站规则开始，假如我们在Windows Server 2008上安装了一个Apache Web服务器，默认情况下，从远端是无法访问这个服务器的，因为在入站规则中没有配置来确认对这些流量“放行”，下面我们就为它增加一条规则。

打开高级安全Windows防火墙，点击入站规则后从右边的入站规则列表中我们可以看到Windows Server 2008自带的一些安全规则，在这儿可以看到，我们可以基于具体的程序、端口、预定义或自定义来创建入站规则，其中每个类型的步骤会有细微的差别。第三步指定对符合条件的流量进行什么操作，接下来选择应用规则的配置文件和为规则指定名称后，规则就创建好了。

连接安全包括在两台计算机开始通信之前对它们进行身份验证，并确保在两台计算机之间正在发送的信息的安全性。具有高级安全性的 Windows 防火墙包含了 Internet 协议安全 (IPSec) 技术，通过使用密钥交换、身份验证、数据完整性和数据加密(可选)来实现连接安全。

对于单个服务器来说，可以使用高级安全Windows防火墙管理控制单元来对防火墙进行设置，以上的方法还算适用。但是如果在你的企业网络中有大量计算机需要设置，就应该使用下面这种更高效的方法。

使用组策略进行管理

在一个使用活动目录(AD)的企业网络中，为了实现对大量计算机的集中管理，你可以使用组策略来应用高级安全Windows防火墙的配置。组策略提供了高级安全Windows防火墙的完全功能的访问，包括配置文件、防火墙规则和计算机安全连接规则。

实际上，在组策略管理控制台中为高级安全Windows防火墙配置组策略的时候是打开的同一个控制单元。值得注意的是，如果你使用组策略来在一个企业网络中配置高级安全Windows防火墙的话，本地系统管理员是无法修改这个规则的属性的。通过创建组策略对象，可以配置一个域中所有计算机使用相同的防火墙设置。这一部分内容比较复杂。

使用Netsh advfirewall命令行工具，虽然图形化配置界面比较简单直观，但是对于一些有经验的系统管理员来说，则往往更喜欢使用命令行方式来完成它们的配置工作，因为后者一旦熟练掌握的话，可以更灵活更准确更迅速的实现配置任务。

Netsh是可以用于配置网络组件设置的命令行工具。具有高级安全性的Windows防火墙提供netsh advfirewall工具，可以使用它配置具有高级安全性的Windows防火墙设置。使用netsh advfirewall可以创建脚本，以便自动同时为IPv4和IPv6流量配置一组具有高级安全性的Windows 防火墙设置。还可以使用netsh advfirewall命令显示具有高级安全性的Windows防火墙的配置和状态。